Google ha confirmado el secuestro de cuentas de Youtube mediante un malware que se dedica a robar las cookies por medio de ingeniería social. Cada vez es mucho más frecuente ver cómo los ciberdelincuentes se apropian de cosas tan triviales como las cuentas de Youtube. Youtube no es la única plataforma que ha sufrido este tipo de ataques por parte de los ciberdelincuentes sino que también Twitch, la popular plataforma de contenido audiovisual, propiedad de Amazon, también se encontró entre los objetivos de los cibercriminales.

El equipo de investigadores del Grupo de Análisis de Amenazas de Google ha detectado actividad maliciosa de forma reciente. Según han informado, creadores de contenido de YouTube han sido atacados con malware con el fin de robar sus contraseñas y acto seguido pedir un rescate para devolver las credenciales robadas. Para ello, han usado ataques de phishing coordinados. Google confirma el secuestro de cuentas de Youtube

La campaña de phishing detectada por el TAG dio comienzo a finales de 2019, momento en el cual descubrieron que los ciberatacantes fueron reclutados por encargo. El lugar seleccionado para ello fueron unos foros de habla rusa. Para lograr el robo de credenciales, los ciberatacantes hicieron uso de ingeniería social, es decir, por medio de páginas de software falsas y cuentas en redes sociales. También hicieron uso de emails de phishing para infectar con malware a los creadores de contenido. 

La campaña es bastante compleja, pues se hizo en función de las preferencias de cada atacante. Usaron varios tipos de malware, entre ellos: RedLine, Vidar, Predator The Thief, Nexus stealer, Azorult, Raccoon, Grand Stealer, Vikro Stealer, Masad y Kantal. Además, usaron otros de código abierto como Sorano y AdamantiumThief. Tras obtener acceso, robaron las credenciales y cookies del navegador mediante ataques pass-the-cookie.

Se trata de una campaña muy compleja. Google, durante su investigación, identificó nada menos que 1.011 dominios vinculados a estos ataques; también 15.000 cuentas de ciberatacantes creadas exclusivamente para esta campaña. Todas ellas se han usado para el envío de phishing mediante e-mail, los cuales contenían enlaces vinculados a páginas con malware.

Por desgracia, muchos creadores de contenido cayeron en la trampa y vieron cómo sus canales fueron robados. Tras esto, sus canales fueron reconvertidos para hacerse pasar por ejecutivos de empresas tecnológicas de alto perfil. También se han visto empresas que, supuestamente, se dedican al intercambio de criptomonedas y usados para ciberestafas en su lugar. Otras se vendieron en el mercado negro por un valor de entre 3000/4000 dólares. El FBI ha sido informado al respecto para que investiguen la situación y proteja a los usuarios.